JP2023004706A - 攻撃回避装置および攻撃回避方法 - Google Patents

Abstract

【課題】攻撃者からの攻撃を回避しながら、攻撃パケットの収集や解析を行うことを可能とする攻撃回避技術を提供する。【解決手段】攻撃回避装置（１０）は、被攻撃端末（２０）宛に送信されたパケットのミラーパケットを受信し、ミラーパケットの受信状況に基づいて、被攻撃端末（２０）に対する攻撃が行われていることを検知し、被攻撃端末（２０）に対する攻撃を検知した場合に、被攻撃端末（２０）に対する攻撃を行っている攻撃端末（３０）から送信されたパケットが、攻撃回避装置（１０）に送信されるように、攻撃回避装置（１０）と被攻撃端末（２０）が接続されたスイッチまたは攻撃端末（３０）のアドレス設定を変更する。【選択図】 図２Ａ

Description

本発明は、ネットワークにおけるサイバー攻撃を回避する攻撃回避技術に関する。

近年、ＩＯＴやクラウドサービスの普及に伴い、ネットワークに接続する機器が増え、ネットワークの大規模化・複雑化が進む中、サーバやＩＯＴデバイスを狙ったサイバー攻撃が増加しており、サイバー攻撃に対処するための技術が提案されている。例えば、特許文献１では、パケットや通信の振る舞いを監視し、攻撃を検知した際にその攻撃の送信元からの通信を遮断する技術が提案されている。

特開２０１９－２１３１８２号公報

特許文献１では、対象機器を攻撃から守ることができるが、攻撃者に通信を遮断したことを検知され、攻撃者が別の手段によって攻撃する等の対策を取られてしまう可能性があった。また、通信を遮断してしまうので、攻撃パケットの収集や解析を行うことができず、攻撃に対する根本的な対策を取ることが出来ないという問題があった。

本発明は、このような課題を解決するためになされたものであり、攻撃者からの攻撃を回避しながら、攻撃パケットの収集や解析を行うことを可能とする攻撃回避技術を提供することを目的とする。

このような目的を達成するために、本発明の攻撃回避装置は、第１の通信端末に送信されたパケットのミラーパケットを受信する受信部と、前記ミラーパケットの受信状況に基づいて、前記第１の通信端末に対する攻撃が行われていることを検知する攻撃検知部と、前記第１の通信端末に対する攻撃を検知した場合に、前記第１の通信端末に対する攻撃を行っている第２の通信端末から送信されたパケットが、前記第１の通信端末でない通信機器に送信されるように、ネットワーク機器または通信端末の設定を変更する攻撃回避部を備える。

また、本発明の上記攻撃回避装置の前記攻撃回避部は、前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記特定の通信機器および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更してもよい。

また、本発明の上記攻撃回避装置の前記攻撃回避部は、前記攻撃回避装置が接続されている前記スイッチのポートに対して、前記第１の通信端末のＭＡＣアドレスを送信元アドレスとするパケットを送信することにより、前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記攻撃回避装置および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更してもよい。

また、本発明の上記攻撃回避装置の前記攻撃回避部は、前記攻撃回避部は、前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更してもよい。

また、本発明の上記攻撃回避装置の前記攻撃回避部は、前記第２の通信端末に対して、前記第１の通信端末のＩＰアドレスに対応する前記攻撃回避装置のＭＡＣアドレスの情報を含むＡＲＰパケットを送信することにより、前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更してもよい。

このような目的を達成するために、本発明の攻撃回避方法は、第１の通信端末に対する攻撃が行われていることを検知する攻撃検知部と、前記第１の通信端末に対する攻撃を回避する攻撃回避部を備えた攻撃回避装置における攻撃回避方法であって、第１の通信端末に送信されたパケットのミラーパケットを受信するステップと、前記ミラーパケットの受信状況に基づいて、前記第１の通信端末に対する攻撃が行われていることを検知するステップと、前記第１の通信端末に対する攻撃を検知した場合に、前記第１の通信端末に対する攻撃を行っている第２の通信端末から送信されたパケットが、前記第１の通信端末でない通信機器に送信されるように、ネットワーク機器または通信端末の設定を変更するステップを備える。

また、本発明の上記攻撃回避方法の前記ネットワーク機器または通信端末の設定を変更するステップは、前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記特定の通信機器および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更するステップを含んでもよい。

また、本発明の上記攻撃回避方法の前記ＭＡＣアドレステーブルの設定を変更するステップは、前記攻撃回避装置が接続されている前記スイッチのポートに対して、前記第１の通信端末のＭＡＣアドレスを送信元アドレスとするパケットを送信するステップを含み、前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記攻撃回避装置および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更してもよい。

また、本発明の上記攻撃回避方法のネットワーク機器または通信端末の設定を変更するステップは、前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更するステップを含んでもよい。

また、本発明の上記攻撃回避方法の前記第２の通信端末に対して、前記第１の通信端末のＩＰアドレスに対応する前記攻撃回避装置のＭＡＣアドレスの情報を含むＡＲＰパケットを送信するステップを含み、前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更してもよい。

本発明によれば、攻撃者からの攻撃を回避しながら、攻撃パケットの収集や解析を行うことを可能とする攻撃回避技術を提供し、攻撃に対する根本的な対策を取ることが可能となる。

図１は、本発明の実施形態に係る攻撃回避装置を用いたネットワークの構成例である。 図２Ａは、第１の実施の形態に係る攻撃回避方法の適用前の状態を説明するための図である。 図２Ｂは、第１の実施の形態に係る攻撃回避方法の適用前のＭＡＣアドレステーブルの構成例である。 図３Ａは、第１の実施の形態に係る攻撃回避方法の適用後の状態を説明するための図である。 図３Ｂは、第１の実施の形態に係る攻撃回避方法の適用後のＭＡＣアドレステーブルの構成例である。 図４は、第１の実施の形態に係る攻撃回避方法の動作シーケンスである。 図５は、第２の実施の形態に係る攻撃回避方法の適用前の状態を説明するための図である。 図６は、第２の実施の形態に係る攻撃回避方法の適用後の状態を説明するための図である。 図７は、第２の実施の形態に係る攻撃回避方法の動作シーケンスである。

次に、本発明の実施の形態について図面を参照して説明する。本発明は、以下に説明する実施の形態に限定されるものではない。

＜攻撃回避装置を用いたネットワークの構成＞
図１は、本発明の実施形態に係る攻撃回避装置を用いたネットワークの構成例である。図１の構成例は、攻撃回避装置１０、被攻撃端末２０（第１の通信端末）、攻撃端末３０（第２の通信端末）、スイッチ４０、ルータ５０から構成されており、ルータ５０を介して外部のＩＰ通信網ＮＷと接続されている。

攻撃回避装置１０は、被攻撃端末２０に対する攻撃端末（３０、６０）からの攻撃が行われているかを検知し、攻撃が検知された場合に、被攻撃端末２０に対する攻撃を回避する処理を行う装置である。

図１の構成例では、攻撃回避装置１０は、同じスイッチ４０に接続された被攻撃端末２０に対する攻撃を監視している。被攻撃端末２０としては、同じスイッチ４０に接続された攻撃端末３０とＩＰ通信網ＮＷを介して接続された外部のネットワークの攻撃端末６０から攻撃を受ける場合を想定している。

被攻撃端末２０に対する攻撃の種類としては、例えば、Ｄｏｓ（Denial of Service）攻撃、ＤＤｏｓ（Distributed Denial of Service）攻撃、マルウェアによる攻撃を想定している。

攻撃回避装置１０と被攻撃端末２０が接続されたスイッチ４０には、ミラーリング設定がされている。被攻撃端末２０が受信するパケットはスイッチ４０で複製されて、複製されたミラーパケットは、攻撃回避装置１０が接続されたポートに送信される。これにより、攻撃回避装置１０は、被攻撃端末２０に対するパケットを受信し、攻撃を検知することができる。

攻撃回避装置１０は、複製されたミラーパケットを受信し、ミラーパケットの受信状況に応じて、被攻撃端末２０が攻撃されているかを検知する。攻撃を受けているかは、例えば、攻撃回避装置１０におけるパケット受信処理の負荷や処理できないパケットの数を測定し、処理負荷やパケット数が所定の閾値を超えたか否かにより、攻撃されているかを判定すればよい。

攻撃回避装置１０と被攻撃端末２０が接続されたスイッチ４０は、レイヤー２スイッチであり、受信したパケットをＭＡＣアドレスに応じて、対応するポートに振り分けるスイッチングを行うように構成されている。ＭＡＣアドレスとポートの対応関係は、スイッチ４０内のＭＡＣアドレステーブルに保存されている。ＭＡＣアドレステーブルの内容は、ポートに接続された通信端末から送信されるパケットのＭＡＣアドレスに応じて更新され、一定のエージングタイムの間保存される。

また、図１のネットワークに接続された攻撃回避装置１０、被攻撃端末２０、攻撃端末３０、ルータ５０等のネットワーク機器や通信端末は、他の通信端末と通信を行うためのＩＰアドレスとＭＡＣアドレスの対応関係を示すＡＲＰ（Address Resolution Protocol）テーブルを備えている。各通信機器は、他の通信機器と通信を行うために、ＡＲＰ要求やＡＲＰ応答等のＡＲＰパケットを用いて、ＡＲＰテーブルの更新を行うことができる。攻撃端末３０から被攻撃端末２０への攻撃もＡＲＰテーブルに基づいて行われる。

＜攻撃回避装置の構成＞
図１に示すように、攻撃回避装置１０は、主な回路部として、Ｉ／Ｆ部１１、制御部１２、記憶部１３を備えている。

＜Ｉ／Ｆ部＞
Ｉ／Ｆ部１１は、ネットワーク内の各通信機器と接続するための回路である。攻撃回避装置１０は、Ｉ／Ｆ部１１を介して、被攻撃端末２０が受信するパケットのミラーパケットの受信や、ネットワーク機器または通信端末の設定を変更するためのパケットの送信等を行うことができる。

＜記憶部＞
記憶部１３は、ハードディスクや半導体メモリなどの記憶装置からなる。記憶部１３には、制御部１２での攻撃監視や攻撃回避に用いる各種の処理データやプログラムが記憶されている。

記憶部１３で記憶する主な処理データとして、監視データ１３Ａ、攻撃端末情報１３Ｂ、被攻撃端末情報１３Ｃがある。

＜監視データ＞
監視データ１３Ａは、被攻撃端末２０宛に送信されたミラーパケットの受信状況を表すデータである。監視データ１３Ａは、被攻撃端末２０毎に用意されており、被攻撃端末２０毎に、攻撃が行われているかを検知するために用いられる。

攻撃を受けているかは、例えば、監視データ１３Ａに、被攻撃端末２０毎に、パケット受信処理の負荷や処理できないパケットの数を測定し、処理負荷やパケット数が所定の閾値を超えたか否かにより、攻撃されているかを判定すればよい。

＜攻撃端末情報＞
攻撃端末情報１３Ｂは、被攻撃端末２０が攻撃されていることを検知した場合に、その攻撃元である攻撃端末（３０、６０）を特定するためのデータである。攻撃端末を特定するためのデータとしては、攻撃端末のＭＡＣアドレスやＩＰアドレスを記録すればよい。攻撃回避装置１０は、この攻撃端末情報１３Ｂを用いて、ネットワーク機器または通信端末の設定を変更するためのパケットを送信する等の、被攻撃端末２０に対する攻撃を回避するための処理を行うことができる。

＜被攻撃端末情報＞
被攻撃端末情報１３Ｃは、被攻撃端末２０を特定するためのデータである。攻撃回避装置１０は、被攻撃端末２０が攻撃されていることを検知した場合に、被攻撃端末情報１３Ｃに、被攻撃端末２０を特定するためのデータを記録する。被攻撃端末２０を特定するためのデータとしては、被攻撃端末のＭＡＣアドレスやＩＰアドレスを記録すればよい。

＜プログラム＞
プログラム１３Ｐは、制御部１２のＣＰＵと協働することにより、制御部１２での攻撃検知処理や攻撃回避処理に用いる各種の処理部を実現するためのプログラムである。このプログラム１３Ｐは、Ｉ／Ｆ部１１を介して接続された外部装置や記録媒体（ともに図示せず）から、予め記憶部１３へ格納される。

＜制御部＞
制御部１２は、ＣＰＵとその周辺回路を有し、記憶部１３のプログラム１３Ｐを読み出してＣＰＵと協働させることにより、攻撃検知処理や攻撃回避処理を実行するための処理部を実現するように構成されている。制御部１２で実現される主な処理部として、攻撃検知部１２Ａ、攻撃回避部１２Ｂがある。

＜攻撃検知部＞
攻撃検知部１２Ａは、Ｉ／Ｆ部１１を介して、被攻撃端末２０が受信するパケットのミラーパケットを受信して、被攻撃端末２０が攻撃を受けているかを検知するように構成されている。攻撃を受けているかは、被攻撃端末２０毎に、パケット受信処理の負荷や処理できないパケットの数を測定し、処理負荷やパケット数が所定の閾値を超えたか否かにより、攻撃されているかを判定すればよい。

＜攻撃回避部＞
攻撃回避部１２Ｂは、被攻撃端末２０に対する攻撃を検知した場合に、被攻撃端末２０に対する攻撃を回避するための処理を行うように構成されている。具体的には、被攻撃端末２０に対して攻撃を行っている攻撃端末３０から送信されたパケットが、被攻撃端末２０でない通信機器に送信されるように、ネットワーク機器または端末の設定を変更するように構成されている。

＜第１の実施の形態＞
本実施の形態にかかる攻撃回避装置の攻撃回避方法の動作について説明する。第１の実施の形態では、被攻撃端末２０のＭＡＣアドレス宛に送信されたパケットが、被攻撃端末２０以外の特定の通信機器において受信されるように、特定の通信機器および被攻撃端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更するように構成されている。

具体的には、攻撃回避装置１０が接続されているスイッチ４０のポートに対して、被攻撃端末２０のＭＡＣアドレスを送信元アドレスとするパケットを送信することにより、被攻撃端末２０のＭＡＣアドレス宛に送信されたパケットが、攻撃回避装置１０において受信されるように、攻撃回避装置１０および被攻撃端末２０が接続されているスイッチ４０のＭＡＣアドレステーブルの設定を変更する。

被攻撃端末２０のＭＡＣアドレス宛に送信されたパケットを受信する特定の通信機器としては、スイッチ４０に接続された攻撃回避装置１０以外の他の通信機器を設定してもよい。その場合には、攻撃回避装置１０から他の通信機器に対して、被攻撃端末２０のＭＡＣアドレスを送信元アドレスとするパケットの送信を指示すればよい。

図２Ａは、第１の実施の形態に係る攻撃回避方法の適用前の状態を説明するための図である。図２Ａでは、スイッチ４０に、攻撃回避装置１０であるＰＣ＃Ｚ［ＩＰ：１９２．１６８．１．２／ＭＡＣ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０２］、被攻撃端末２０であるＰＣ＃Ａ［ＩＰ：１９２．１６８．１．１／ＭＡＣ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１］、攻撃端末３０であるＰＣ＃Ｂ［ＩＰ：１９２．１６８．１．３／ＭＡＣ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０３］が接続されている。

攻撃回避装置１０、被攻撃端末２０、攻撃端末３０は、それぞれスイッチ４０のポートＰ１、ポートＰ３、ポートＰ５に接続されている。図２Ｂは、第１の実施の形態に係る攻撃回避方法の適用前のＭＡＣアドレステーブルの構成例である。ＭＡＣアドレステーブルには、各端末のＭＡＣアドレスとポート番号が対応づけられて保存されている。

攻撃回避装置１０は、被攻撃端末２０に送信されたパケットのミラーパケットを受信することにより、攻撃端末３０が被攻撃端末２０に攻撃を行っていることを検知する。攻撃を検知すると、被攻撃端末２０に対して攻撃端末３０から送信されたパケットが攻撃回避装置１０に送信されるように、スイッチ４０のＭＡＣアドレステーブルの設定を変更するためのパケット、すなわち被攻撃端末２０のＭＡＣアドレスを送信元アドレスとするパケットを送信する。

被攻撃端末２０に対して攻撃端末３０から送信されたパケットを、攻撃回避装置１０以外の他の通信機器に受信させる場合には、攻撃回避装置１０は、他の通信機器に対して、被攻撃端末２０のＭＡＣアドレスを送信元アドレスとするパケットの送信を指示すればよい。

図３Ａは、第１の実施の形態に係る攻撃回避方法の適用後の状態を説明するための図である。攻撃回避装置１０から被攻撃端末２０のＭＡＣアドレスを送信元アドレスとするパケットを受信したスイッチ４０は、ポートＰ１から受信したパケットのＭＡＣアドレスに基づいてＭＡＣアドレステーブルの設定を変更する。

図３Ｂは、第１の実施の形態に係る攻撃回避方法の適用後のＭＡＣアドレステーブルの構成例である。図３ＢのＭＡＣアドレステーブルでは、被攻撃端末２０のＭＡＣアドレス（ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１）に対応するポート番号として［１］が登録されている。これにより、攻撃端末３０からの攻撃パケットを含む、宛先ＭＡＣアドレスを（ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１）とするパケットは、全てポート番号［１］のポートに送信され、ポート番号［１］のポートに接続された攻撃回避装置１０において、攻撃パケットの収集と解析を行うことができる。

このように、第１の実施の形態では、被攻撃端末のＭＡＣアドレス宛に送信されたパケットが攻撃回避装置において受信されるように、攻撃回避装置および被攻撃端末が接続されたスイッチのＭＡＣアドレステーブルの設定を変更するように構成されている。これにより、被攻撃端末に対する攻撃を回避しながら、攻撃回避装置において攻撃パケットの収集や解析を行うことができるので、攻撃に対する根本的な対策を取ることが可能となる。

尚、上記では、同一ネットワーク内の攻撃端末３０から攻撃を受けた場合を例として説明したが、外部ネットワークの攻撃端末６０から攻撃を受けた場合でも、被攻撃端末２０宛のパケットを、攻撃回避装置１０が受信するように、スイッチのＭＡＣアドレステーブルを設定することで、被攻撃端末２０への攻撃を回避しながら、攻撃回避装置１０において攻撃パケットの収集や解析を行うことができる。

＜攻撃回避方法の動作シーケンス＞
図４は、第１の実施の形態に係る攻撃回避方法の動作シーケンスである。被攻撃端末２０が受信するパケットが複製されて攻撃回避装置１０に送信されるように、スイッチ４０には、ミラーリング設定がされている（ステップ１００）。

攻撃端末３０から被攻撃端末２０宛に送信された攻撃パケットは、スイッチ４０で複製されて、攻撃回避装置１０に送信される（ステップ１０１、１０２、１０３）。

攻撃回避装置１０は、ミラーパケットの受信状況に応じて、被攻撃端末２０に攻撃が行われていることを検知し、攻撃を検知した場合には、被攻撃端末２０および攻撃端末３０を特定する（ステップ２００～２０２）。

被攻撃端末２０は、被攻撃端末２０に対して攻撃端末３０から送信されたパケットが攻撃回避装置１０に送信されるように、被攻撃端末２０のＭＡＣアドレスを送信元アドレスとするパケットを送信する（ステップ３００）。

スイッチ４０は、被攻撃端末２０のＭＡＣアドレスを送信元アドレスとするパケットを受信すると、受信したパケットのＭＡＣアドレスに基づいてＭＡＣアドレステーブルの設定を変更する（ステップ３０１）。

ＭＡＣアドレステーブルの設定が変更されると、攻撃端末３０から被攻撃端末２０宛に送信された攻撃パケットは、被攻撃端末２０に送信されずに、攻撃回避装置１０に送信される（ステップ４００、４０１）。

＜第２の実施の形態＞
第２の実施の形態は、攻撃端末３０から被攻撃端末２０のＩＰアドレス宛に送信されたパケットが、被攻撃端末２０以外の特定の通信機器において受信されるように、攻撃端末３０のＡＲＰテーブルを変更するように構成されている。

具体的には、攻撃端末３０に対して、被攻撃端末２０のＩＰアドレスに対応する攻撃回避装置１０のＭＡＣアドレスの情報を含むＡＲＰパケットを送信することにより、攻撃端末３０から被攻撃端末２０のＩＰアドレス宛に送信されたパケットが、攻撃回避装置１０において受信されるように、攻撃端末３０のＡＲＰテーブルを変更する。

被攻撃端末２０のＩＰアドレス宛に送信されたパケットを受信する特定の通信機器としては、攻撃回避装置１０以外の他の通信機器を設定してもよい。その場合には、攻撃回避装置１０から他の通信機器に対して、被攻撃端末２０のＩＰアドレスに対応する攻撃回避装置１０のＭＡＣアドレスの情報を含むＡＲＰパケットを送信するように指示すればよい。

図５は、第１の実施の形態に係る攻撃回避方法の適用前の状態を説明するための図である。図２Ａと同様に、攻撃回避装置１０であるＰＣ＃Ｚには、［ＩＰ：１９２．１６８．１．２／ＭＡＣ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０２）］が割当てられ、被攻撃端末２０であるＰＣ＃Ａには、［ＩＰ：１９２．１６８．１．１／ＭＡＣ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１］が、攻撃端末３０であるＰＣ＃Ｂには、［ＩＰ：１９２．１６８．１．３／ＭＡＣ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０３］が割当てられている。図５においては、スイッチ４０の記載を省略しているが、第１の実施の形態と同様にして、攻撃回避装置１０において被攻撃端末２０宛に送信されたパケットのミラーパケットを受信するように、ミラーリング設定されている。

攻撃端末３０のＡＲＰテーブルには、被攻撃端末２０であるＰＣ＃ＡのＩＰアドレスとＭＡＣアドレス［ＩＰ：１９２．１６８．１．１／ＭＡＣ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１］が対応づけられて保存されている。攻撃端末３０は、このＡＲＰテーブルを用いて、被攻撃端末２０に対して攻撃を行っている。

攻撃回避装置１０は、被攻撃端末２０に送信されたパケットのミラーパケットを受信することにより、攻撃端末３０が被攻撃端末２０に攻撃を行っていることを検知する。攻撃を検知すると、攻撃端末３０から被攻撃端末２０のＩＰアドレス宛に送信されたパケットが、攻撃回避装置１０において受信されるように、攻撃端末３０に対して、被攻撃端末２０のＩＰアドレスに対応する攻撃回避装置１０のＭＡＣアドレスの情報を含むＡＲＰパケットを送信する。

攻撃端末３０から被攻撃端末２０のＩＰアドレス宛に送信されたパケットを、攻撃回避装置１０以外の他の通信機器に受信させる場合には、他の通信機器に対して、被攻撃端末２０のＩＰアドレスに対応する他の通信機器のＭＡＣアドレスの情報を含むＡＲＰパケットを送信するように指示すればよい。

図６は、第２の実施の形態に係る攻撃回避方法の適用後の状態を説明するための図である。攻撃回避装置１０から被攻撃端末２０のＩＰアドレスに対応する攻撃回避装置のＭＡＣアドレスの情報を含むＡＲＰパケットを受信した攻撃端末３０は、受信したＡＲＰパケットの内容に基づいてＡＲＰテーブルの内容を変更する。

図６において、攻撃端末３０のＡＲＰテーブルには、被攻撃端末２０のＩＰアドレス［１９２．１６８．１．１］に対応するＭＡＣアドレスとして、攻撃回避装置１０のＭＡＣアドレス［ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０２］が保存されている。これにより、攻撃端末３０から被攻撃端末２０のＩＰアドレス［１９２．１６８．１．１］宛のパケットは、宛先ＭＡＣアドレスを［ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０２］とするパケットとして、攻撃回避装置１０に送信され、攻撃回避装置１０において、攻撃パケットの収集と解析を行うことができる。

このように、第２の実施の形態では、攻撃端末から被攻撃端末のＩＰアドレス宛に送信されたパケットが攻撃回避装置において受信されるように、攻撃端末のＡＲＰテーブルを変更するように構成されている。これにより、被攻撃端末に対する攻撃を回避しながら、攻撃回避装置において攻撃パケットの収集や解析を行うことができるので、攻撃に対する根本的な対策を取ることが可能となる。

尚、上記では、同一ネットワーク内の攻撃端末３０から攻撃を受けた場合を例として説明したが、外部ネットワークの攻撃端末６０から攻撃を受けた場合でも、被攻撃端末２０のＩＰアドレス宛のパケットを、攻撃回避装置１０が受信するように、ルータ５０のＡＲＰテーブルを設定することで、被攻撃端末２０への攻撃を回避しながら、攻撃回避装置１０において攻撃パケットの収集や解析を行うことができる。

＜攻撃回避方法の動作シーケンス＞
図７は、第１の実施の形態に係る攻撃回避方法の動作シーケンスである。ステップ１００～１０３、ステップ２００～２０２の処理は、図４と同様である。

被攻撃端末２０は、攻撃を検知した場合には、攻撃端末３０から被攻撃端末２０のＩＰアドレス宛に送信されたパケットが、攻撃回避装置１０において受信されるように、攻撃端末３０に対して、被攻撃端末２０のＩＰアドレスに対応する攻撃回避装置１０のＭＡＣアドレスの情報を含むＡＲＰパケットを送信する（ステップ５００、５０１）。

攻撃端末３０は、被攻撃端末２０のＩＰアドレスに対応する攻撃回避装置のＭＡＣアドレスの情報を含むＡＲＰパケットを受信すると、受信したＡＲＰパケットの内容に基づいてＡＲＰテーブルの内容を変更する（ステップ５０２）。

ＡＲＰアドレステーブルの設定が変更されると、攻撃端末３０から送信された被攻撃端末２０のＩＰアドレス宛のパケットは、被攻撃端末２０に送信されずに、攻撃回避装置１０に送信される（ステップ６００、６０１）。

＜本実施の形態の効果＞
このように、本実施の形態は、被攻撃に対する攻撃を検知した場合に、被攻撃端末に対する攻撃を行っている攻撃端末から送信されたパケットが、被攻撃端末でない攻撃回避装置に送信されるように、ネットワーク機器または通信端末の設定を変更するように構成したものである。

より具体的には、被攻撃端末のＭＡＣアドレス宛に送信されたパケットが、被攻撃端末以外の通信機器である攻撃回避装置において受信されるように、攻撃回避装置および被攻撃端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更するように構成し、あるいは、攻撃端末から被攻撃端末のＩＰアドレス宛に送信されたパケットが、被攻撃端末以外の通信機器である攻撃回避装置において受信されるように、攻撃端末のＡＲＰテーブルを変更するように構成したものである。

このような構成により、被攻撃端末に対する攻撃を回避しながら、攻撃回避装置において攻撃パケットの収集や解析を行うことができるので、攻撃回避装置で収集したデータを用いて、攻撃に対する根本的な対策を検討することが可能となる。

上述したスイッチのＭＡＣアドレステーブルを書き換える方法は、攻撃端末が不特定多数存在する場合でも、１台のスイッチのＭＡＣアドレステーブルを書き換えることで攻撃を回避することが可能である。被攻撃端末は、攻撃端末以外の他の通信端末と通信することができなくなるが、攻撃端末が多数存在する場合に、迅速に被攻撃端末の保護ができるというメリットを有する。

一方、攻撃端末のＡＲＰテーブルを書き換える方法は、攻撃端末が多数存在する場合には、攻撃端末の台数分の処理が必要になるが、被攻撃端末は、攻撃端末以外の他の端末と通信を継続することができるというメリットを有する。
＜実施の形態の拡張＞
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

１０…攻撃回避装置、１１…Ｉ／Ｆ部、１２…制御部、１３…記憶部、１３Ａ…監視データ、１３Ｂ…攻撃端末情報、１３Ｃ…被攻撃端末情報、１３Ｐ…プログラム、２０…被攻撃端末２０…攻撃端末、４０…スイッチ、５０…ルータ、６０…攻撃端末（外部ネットワーク）、ＮＷ…ＩＰ通信網。

Claims (10)

1. 第１の通信端末に送信されたパケットのミラーパケットを受信する受信部と、
   前記ミラーパケットの受信状況に基づいて、前記第１の通信端末に対する攻撃が行われていることを検知する攻撃検知部と、
   前記第１の通信端末に対する攻撃を検知した場合に、前記第１の通信端末に対する攻撃を行っている第２の通信端末から送信されたパケットが、前記第１の通信端末でない通信機器に送信されるように、ネットワーク機器または通信端末の設定を変更する攻撃回避部を
   備える攻撃回避装置。
2. 前記攻撃回避部は、
   前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記特定の通信機器および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更する
   請求項１に記載の攻撃回避装置。
3. 前記攻撃回避部は、
   前記攻撃回避装置が接続されている前記スイッチのポートに対して、前記第１の通信端末のＭＡＣアドレスを送信元アドレスとするパケットを送信することにより、
   前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記攻撃回避装置および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更する
   請求項２に記載の攻撃回避装置。
4. 前記攻撃回避部は、
   前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更する
   請求項１に記載の攻撃回避装置。
5. 前記攻撃回避部は、
   前記第２の通信端末に対して、前記第１の通信端末のＩＰアドレスに対応する前記攻撃回避装置のＭＡＣアドレスの情報を含むＡＲＰパケットを送信することにより、
   前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更する
   請求項４に記載の攻撃回避装置。
6. 第１の通信端末に対する攻撃が行われていることを検知する攻撃検知部と、前記第１の通信端末に対する攻撃を回避する攻撃回避部を備えた攻撃回避装置における攻撃回避方法であって、
   第１の通信端末に送信されたパケットのミラーパケットを受信するステップと、
   前記ミラーパケットの受信状況に基づいて、前記第１の通信端末に対する攻撃が行われていることを検知するステップと、
   前記第１の通信端末に対する攻撃を検知した場合に、前記第１の通信端末に対する攻撃を行っている第２の通信端末から送信されたパケットが、前記第１の通信端末でない通信機器に送信されるように、ネットワーク機器または通信端末の設定を変更するステップを
   備える攻撃回避方法。
7. 前記ネットワーク機器または通信端末の設定を変更するステップは、
   前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記特定の通信機器および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更するステップを含む
   請求項６に記載の攻撃回避方法。
8. 前記ＭＡＣアドレステーブルの設定を変更するステップは、
   前記攻撃回避装置が接続されている前記スイッチのポートに対して、前記第１の通信端末のＭＡＣアドレスを送信元アドレスとするパケットを送信するステップを含み、
   前記第１の通信端末のＭＡＣアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記攻撃回避装置および前記第１の通信端末が接続されているスイッチのＭＡＣアドレステーブルの設定を変更する
   請求項７に記載の攻撃回避方法。
9. ネットワーク機器または通信端末の設定を変更するステップは、
   前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記第１の通信端末以外の特定の通信機器において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更するステップを含む
   請求項６に記載の攻撃回避方法。
10. 前記第２の通信端末に対して、前記第１の通信端末のＩＰアドレスに対応する前記攻撃回避装置のＭＡＣアドレスの情報を含むＡＲＰパケットを送信するステップを含み、
    前記第２の通信端末から前記第１の通信端末のＩＰアドレス宛に送信されたパケットが、前記攻撃回避装置において受信されるように、前記第２の通信端末のＡＲＰテーブルを変更する
    請求項９に記載の攻撃回避方法。

Images